| 常用 | pstree -aps / ps --forest |
|---|---|
| 核心 | PPID 链：谁生出了谁 |
| 可疑模式 | httpd/nginx 子进程出现 bash、sh -c |
| 确认 | ps -o ppid= -p <PID> 逐级上溯 |
查看进程树与可疑父子链
查看进程树与可疑父子链
pstree -aps
ps -eo pid,ppid,user,cmd --forest | grep -B2 -A2 -iE 'bash|sh -c|wget|curl' | head -n 40Web 服务进程的子进程如果是交互式 shell，基本可以直接按高危处理。